アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

シャドウコピーの属性

昨日書いた内容に間違いがあることを発見し、先ほど修正したのですが vssadmin list shadows で確認したシャドウコピーのセットが自分が作成したものと、復元ポイントで作成されたものとを見間違えていました...orz
vshadowコマンドで作成した時のシャドウコピーの状態は以下の表示になります。特に属性の部分に注目してください。

シャドウ コピー セット ID: {12b2def6-1481-4139-93f1-8eeef31c5873} の内容
   1 個のシャドウ コピー、作成時刻: 2008/02/18 19:49:59
      シャドウ コピー ID: {0b27543f-e143-451d-a59e-3e98b376f902}
         元のボリューム: (V:)\\?\Volume{635044d3-daf9-11dc-8f75-005056c00008}\
         シャドウ コピー ボリューム: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy6
         元のコンピュータ: ihara-PC
         サービス コンピュータ: ihara-PC
         プロバイダ: 'Microsoft Software Shadow Copy provider 1.0'
         種類: DataVolumeRollback
         属性: 恒久, 自動リリースなし, ライタなし, 差分

これに対して、復元ポイントで作成されたシャドウコピーは以下のような属性になっています。

シャドウ コピー セット ID: {0fbacf45-ffff-4abb-b388-da25f8b62168} の内容
   1 個のシャドウ コピー、作成時刻: 2008/02/18 20:17:43
      シャドウ コピー ID: {927f3136-caf6-45e7-b199-fbc0461c159a}
         元のボリューム: (V:)\\?\Volume{635044d3-daf9-11dc-8f75-005056c00008}\
         シャドウ コピー ボリューム: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy7
         元のコンピュータ: ihara-PC
         サービス コンピュータ: ihara-PC
         プロバイダ: 'Microsoft Software Shadow Copy provider 1.0'
         種類: ClientAccessibleWriters
         属性: 恒久, クライアント アクセス可能, 自動リリースなし, 差分, 自動回復

属性として、“クライアントアクセス可能”と“自動回復”となっている点などが異なるわけですが、このクライアントアクセス可能という属性がないと、エクスプローラの「以前のバージョンの復元」からはアクセスできないようです。当然と言えば当然なのかもしれませんが、vshadowで作成したのがなぜアクセスできないのかちょっと悩んだので・・・